Les ransomwares révèlent le coût des systèmes VMware non patchés

Remarque : Ce contenu a été généré par traduction automatique et peut contenir des inexactitudes. Pour obtenir les informations les plus précises et les plus récentes, veuillez consulter la version originale en anglais.

Ce qui inquiétait le plus nos clients, ce n'était pas seulement le ransomware en lui-même, mais surtout le fait qu'ils continuaient d'exécuter des applications critiques sur d'anciennes versions de VMware qu'ils ne pouvaient plus mettre à jour de manière classique. Dès lors que cette faille apparaît, chaque jour représente un risque pour la sécurité.
Un partenaire de Sangfor aux Philippines revient sur des incidents récents impliquant des clients

Pour de nombreuses équipes informatiques, les rançongiciels ne sont plus une simple éventualité. C'est une réalité opérationnelle qui peut perturber l'activité en quelques heures, et non plus en quelques semaines. Ce risque est d'autant plus immédiat lorsque l'infrastructure supportant les charges de travail critiques repose sur des versions logicielles anciennes, vulnérables ou difficiles à maintenir à jour.

C’est précisément pourquoi les dernières alertes concernant l’exploitation des failles VMware sont si importantes. En février 2026, BleepingComputer a rapporté que la CISA avait confirmé que des groupes de ransomware exploitaient une vulnérabilité critique de type sandbox de VMware ESXi (CVE-2025-22225), déjà utilisée lors d’attaques zero-day. Bien que Broadcom ait corrigé cette faille en mars 2025, cet incident a mis en lumière une dure réalité du terrain : lorsque les organisations continuent d’utiliser une infrastructure obsolète ou non prise en charge, l’écart entre un correctif publié et le risque réel peut devenir extrêmement important.

Ce problème survient à un moment où de nombreuses organisations sont déjà confrontées à bien plus que la simple gestion des vulnérabilités. Elles doivent également composer avec les échéances du cycle de vie des produits, les changements de politique de support, les contraintes budgétaires et la complexité opérationnelle liée au maintien de la sécurité des environnements de virtualisation existants sans perturber leurs activités.

Le problème des politiques : quand les correctifs ne sont plus une option

Pour de nombreuses organisations, l'obstacle à l'application des correctifs ne se limite plus aux interruptions de service ou aux coûts opérationnels. Il s'agit également de conformité aux licences.

Suite au rachat de VMware par Broadcom, le paysage du support pour les licences perpétuelles (licences à durée indéterminée) a été profondément bouleversé. Le problème principal réside dans le fait que si votre version de VMware n'est plus prise en charge et que vous n'avez pas opté pour un modèle d'abonnement, vous êtes légalement et techniquement dans l'impossibilité de recevoir les correctifs officiels.

Considérez la situation à laquelle de nombreux clients sont confrontés aujourd'hui :

• Utilisateurs de vSphere 7.x : le support général a pris fin en octobre 2025. Ils sont désormais dans une phase de « conseils techniques » (jusqu’en octobre 2027), qui n’offre aucun nouveau correctif de sécurité.
• vSphere 6.x et versions antérieures : ces versions ont depuis longtemps dépassé leur date de fin de support général (EoGS).
• Clients dont le contrat de maintenance a expiré : même pour les versions prises en charge comme vSphere 8.x, si votre contrat de maintenance a expiré, vous n’aurez plus accès aux mises à jour. Comme l’ont montré des cas médiatisés tels que celui du distributeur Tesco , les clients se voient refuser l’installation des mises à jour à moins de souscrire un abonnement.

Cela crée un paradoxe terrifiant : les systèmes les plus vulnérables sont ceux qui utilisent des versions obsolètes et non prises en charge, sans correctifs futurs. Les attaquants le savent. Ils recherchent les systèmes exécutant ces versions obsolètes et non patchables, sachant que la vulnérabilité CVE-2021-21974 (et d’autres similaires) constitue une faille de sécurité permanente.

Anatomie d'une attaque sur un système non patché

L'attaque par ransomware ESXiArgs est un exemple typique d'exploitation « instinctive et progressive » qui devient dévastatrice si elle n'est pas contrée. Comme le montre notre analyse, l'attaque se déroule en plusieurs étapes distinctes une fois l'accès initial obtenu via la vulnérabilité CVE-2021-21974 :

1. Accès initial (CVE-2021-21974) : L'attaquant exploite le débordement de tas dans le service OpenSLP via le port UDP 427 pour obtenir l'exécution de code à distance.
2. Déploiement : Des fichiers malveillants (encrypt, encrypt.sh, public.pem) sont déposés dans le répertoire /tmp/.
3. Découverte et chiffrement : Le ransomware recense tous les volumes de stockage, ciblant les fichiers critiques des machines virtuelles tels que les fichiers .vmdk (disques virtuels), .vmx (configuration des machines virtuelles) et .vswp (fichiers d’échange). Il utilise une combinaison de l’algorithme Sosemanuk et du chiffrement RSA pour verrouiller les fichiers.
4. Techniques d'évasion des défenses : pour empêcher toute récupération, il supprime les journaux système, les tâches planifiées et les fichiers de sauvegarde.
5. Note de rançon : Elle laisse le fichier How to Restore Your Files.html dans le système, exigeant un paiement.

Pour les organisations utilisant des versions VMware non prises en charge, les « solutions de remédiation » proposées par les avis de sécurité traditionnels, comme la mise à niveau vers une version corrigée, ne sont tout simplement pas envisageables. Il ne leur reste que deux options : payer la rançon (ce qui est fortement déconseillé) ou perdre leurs données.

Bâtir un avenir résilient : la sécurité au-delà du cycle de correctifs

Cet incident met en lumière un changement crucial de stratégie informatique : il n’est plus possible de se permettre une infrastructure incapable de recevoir les mises à jour de sécurité. Dépendre du cycle de correctifs d’un fournisseur, surtout lorsque ce cycle est désormais lié à un modèle d’abonnement assorti de conditions de licence strictes, crée un point de défaillance unique pour l’ensemble de votre dispositif de sécurité.

Pour les clients de notre partenaire, et pour toute organisation confrontée à ce défi, il est temps d'envisager des solutions alternatives qui intègrent la sécurité dès la conception, plutôt que de la considérer comme une option supplémentaire.

La virtualisation Sangfor offre une solution d'avenir prometteuse. Reposant sur le principe de l'intégration de la sécurité , l'hyperviseur Sangfor n'est pas seulement une plateforme d'exécution de machines virtuelles ; c'est une solution complète pour centre de données, dont la sécurité est au cœur.

Voici comment Sangfor s'attaque à la cause profonde du problème ESXiArgs :

• Sécurité et infrastructure unifiées : contrairement au modèle fragmenté d’un hyperviseur tiers nécessitant des outils de sécurité distincts, Sangfor HCI intègre nativement des fonctionnalités anti-ransomware, un pare-feu de nouvelle génération et la micro-segmentation. Cette approche intégrée, et non a posteriori, garantit que les politiques de sécurité font partie intégrante de l’infrastructure.
• Détection proactive des menaces : Notre plateforme exploite l’IA et l’analyse comportementale pour détecter en temps réel les comportements des ransomwares, tels que le chiffrement massif de fichiers ou la suppression de sauvegardes, stoppant ainsi les attaques avant qu’elles ne puissent causer des dommages.
• Éliminer la dépendance aux correctifs : avec Sangfor, vous n’êtes plus tributaire de la politique de correctifs d’un fournisseur tiers pour votre hyperviseur. Vos mises à jour de sécurité font partie d’une pile logicielle unifiée et facile à gérer, garantissant ainsi la résilience de votre infrastructure sans contraintes de licences complexes.
• Opérations simplifiées : la migration d’un environnement VMware traditionnel vers Sangfor HCI simplifie votre centre de données. Vous réduisez la complexité des licences, diminuez le coût total de possession et bénéficiez d’une interface unique pour la gestion des ressources de calcul et de la sécurité.
• Technologie et services combinés : Tirez parti de l’expertise en sécurité de nos services MDR pour surveiller votre infrastructure virtuelle et détecter les signes d’activités potentielles de ransomware. Nos capteurs de terminaux et de réseau s’intègrent nativement à l’HCI et offrent à nos services MDR la visibilité nécessaire pour détecter et contrer tout incident de sécurité. Ainsi, notre solution évolue d’une simple solution de virtualisation vers une expérience informatique sécurisée complète.

Que faire ensuite ?

L'attaque ESXiArgs est bien plus qu'une simple campagne de ransomware ; elle révèle un modèle opérationnel défaillant. Les organisations qui s'accrochent à des systèmes obsolètes, non pris en charge et « impossibles à corriger », ne se contentent pas d'accepter le risque ; elles s'exposent à un désastre.

En optant pour une plateforme comme Sangfor Virtualization, où la sécurité est une composante essentielle et constamment mise à jour de l'infrastructure, vous pouvez enfin rompre le cycle des vulnérabilités et des risques d'exposition non autorisés. N'attendez pas la prochaine attaque inévitable exploitant une ancienne faille pour vous contraindre à agir.